这篇博客探讨了目录遍历和文件包含的安全问题。目录遍历允许攻击者访问web根目录以外的文件，而文件包含漏洞由于输入验证不严，可能导致系统执行恶意代码。远程文件包含（RFI）通过HTTP或FTP URI参数下载并执行远程文件，本地文件包含（LFI）则限制为包含本地服务器文件。利用LFI，攻击者可以读取敏感文件或通过包含恶意日志文件来执行代码。
directory traversal（目录遍历）：
使用者通过这个漏洞，修改url、参数变量，从而读取web根目录以外的文件内容；
file include：
开发员的include函数对输入变量过滤不够严格，导致系统文件，错误包含
一、远程文件包含
远程文件包含(RFI)发生在web应用程序下载并执行远程文件。这些远程文件通常的形式获得的HTTP或FTPURI作为一个web应用程序用户提供的参数。
通过在url中添加一个远程文件，让他去访问；
步骤：在kali Apache服务器上（/var/www/html/）添加木马文件，接着启动本地Apache服务器（service apache2 start）然后在url中添加远程文件路径，则可在目标机执行木马；
二、本
最低0.47元/天 解锁文章
扫一扫
2655
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
